在AgentDojo与STAC上离线重放时序验证，通用规约检出超70%攻击但良性触发率达29.3%，强化溯源可防历史投毒。
研究工具调用智能体多步安全策略的形式化时序验证及现有基准支撑能力。
梳理了智能体护栏、攻击评测基准与时序验证工具，强调本文立足离线重放。
将轨迹映射为事件流并采用MFOTL与强化溯源机制进行离线验证。
通用规约检出超70%但误报近30%，参数化与强化溯源显著优化区分度。
作者指出了离线重放与语义盲区局限，度量时序仅在合成日志验证。
形式化验证可有效识别多步攻击，但其有效性高度依赖轨迹的可信历史记录。
作者对AP2开展Whisper决策攻击与A-VIP防御，事实操纵在gemini-3.1-flash-lite达73.3%。
协议层签名能验证交易未篡改，但无法约束做决策的推理过程，导致商户文本可操纵智能体行为。
现有研究涵盖智能体支付安全、提示注入基准及模型输入输出防御，但缺乏意图与决策的协议层绑定。
A-VIP将意图视为权能授权，通过会话令牌解耦凭据、结构化比对绑定购物车，并对未授权超支触发确认。
评测覆盖17个Google模型及跨厂商模型，实测记录到事实操纵普遍有效，A-VIP成功拦截结构篡改。
作者指出同价替换无法拦截、确认依赖用户审查及扫描器误报等局限，未来可探索多轮社工与密码学证明。
论文揭示了AP2协议决策层受操纵的风险，提出结构化与权能绑定防御A-VIP，并发布评测基准。
论文在三套语料上实测规则与LLM裁判，发现裁判间错误相关且等效层数仅1.2–1.4，跨机制组合达1.86–2.09层（STRICT）。
论文检验动作门禁堆叠中各层错误相乘的独立性假设，并评估各层对整栈的实际贡献。
论文梳理了防御堆叠故障关联、大模型协同错误、冗余工程及运行时拦截架构等相关研究。
论文提出乘积等效层数指标nmult，并在脱敏设定下对规则与多模型裁判构建堆叠评测框架。
论文在汇聚语料与分项实验中测试了等效层数、单层增益背离、混淆假说及复核规则影响。
作者指出机制采样单一、全栈删失及无人工层等局限，实验仅覆盖至特定语料及静态门禁。
论文实测发现大模型裁判间错误显著相关，作者主张按机制选型并在整栈层面度量防护增益。
APEX在执行边界基于预编译授权契约与探针防御间接提示注入，在5个基准上取得0% ASR，在SkillInject上为0.56%。
在LLM智能体执行边界拦截由异构能力单元和组合攻击引入的未经授权动作与未背书信息使用。
梳理了内容过滤、任务对齐、策略控制、数据溯源及蜜罐防御，指出其缺乏执行边界统一判定。
通过预编译DAG授权契约，在执行边界以WRAP验证参数证据、PLANT检测探针并实现安全恢复。
在6个基准上对比13种基线，5个基准达成0% ASR，自适应攻击下均保持0% ASR。
局限在于契约保真度依赖、动态委托支持不足及长视距编译挑战；实验覆盖3种模型与6个基准。
APEX在执行边界基于预编译授权契约实施证据门控与欺骗探针，在多基准上达成近零ASR。
Uber 团队提出企业级智能体检测系统 ADR，在 ADR-Bench 上实现零误报与 0.800 F1，并在生产部署中拦截凭据泄漏。
解决企业 MCP 智能体缺乏语义遥测、规则难以泛化及大模型全量检测成本高的问题。
梳理了智能体安全基准、智能体防御系统及自动化红队研究，指出其在 MCP 覆盖与自适应上的不足。
通过 Sensor 重建因果遥测，结合 Tier 1/2 分级检测与 Explorer 进化红队实现闭环防护。
在 ADR-Bench 上达 0 误报与 0.800 F1，在 AgentDojo 达 0.962 F1，并完成了生产环境部署验证。
作者指出需拓展多智能体与网关防护，实验覆盖了两个基准、三类基线与企业端点部署。
提出了端点因果遥测、两级在线分流与离线红队闭环的 ADR 系统，并在生产环境中验证了有效性。
论文提出 multi-CaMeL 防御，在 MultiAgentDojo 上将平均 ASR 从 12.9% 降至 0.0%。
单个智能体的控制流完整性无法在分层多智能体系统中直接组合，非可信数据跨边界会被下游智能体当作可信指令而劫持控制流。
论文梳理了间接提示注入防御、多智能体协作与安全性、以及控制流完整性与信息流控制等方向的研究。
提出 multi-CaMeL 协议，将智能体间调用拆分为可信指令与非可信变量两个通道，并由解释器在运行时保持溯源。
在 MultiAgentDojo 与 AssetOpsBench 上测试 5 款模型，multi-CaMeL 将 ASR 降至 0.0% 且效用代价较小。
局限包括仅限树状拓扑、继承了 CaMeL 解释器的隐式依赖缺陷；未来可扩展至非树状架构并建立更强信息流保证。
论文针对多智能体中单体防御不组合的边界清洗问题，提出 multi-CaMeL 协议彻底阻断了 MultiAgentDojo 上的注入攻击。
论文用VAL框架对比防御，在自建测试集上VAL栈获0.000 ASR且保持1.000良性效用，直觉栈良性效用为0。
论文旨在解决智能体防御缺乏理论保证来源的问题，提出VAL框架以区分行为运气与结构约束。
论文梳理了验证自治等级、文本与工具级防御以及智能体评测基准，将本文定位为先验分类坐标轴。
通过扩展VAL规则分级防御，并构建确认门与参数沙箱组合的结构栈，以平台记录和形式规范约束动作。
实验在自建集和AgentDojo等多基准上对比结构栈与直觉栈，揭示相同零值背后的效用鸿沟与稳定性差异。
作者指出了受害者模型较少、评定者无人类参与等局限；实验覆盖了三个模型和多个基准测试套件。
论文证明相同ASR不等于相同安全保证，VAL结构栈在保持效用的同时提供超越模型行为运气的防御。
作者针对长流程智能体构建分阶段注入基准，提出PAA方法在边界动作前实现86%召回与6-8%误阻率。
长流程智能体面临分阶段间接提示注入威胁，需在动作生效前进行边界动作审计。
梳理了自动化注入、智能体安全基准及运行时审计，指出前人缺乏动作级统一拦截评测。
PAA将动作分解为要素并双重归因取值与决策来源，结合代码检验与模型裁决判定阻断。
PAA在两语料全基准上达86%召回率与6-8% FBR，显著优于基线。
作者指出了离线重放、无自适应对抗等局限，实验覆盖了2个系统与8个场景。
论文针对长流程注入提出边界动作审计与PAA，在保持低误阻的同时实现高拦截率。
研究发现ClawHub有705个全clean技能含违规指令，实测34.7%命令后果类文档未记载，OATS拦截了全部违规尝试。
发布时恶意检测无法替代运行时动作许可控制，且文档静态分析无法约束智能体动态重构生成的实际执行操作。
相关研究涵盖注册表扫描与供应链攻击、运行时LLM防护栏、系统引用监视器与轨迹保证，论文定位在动作级轻量拦截。
设计确定性解析器映射命令后果类别，结合分车道信任账本与风险容忍度推导晋升阈值，在工具调用前无模型介入地判定操作。
在6.6万技能库及实机智能体中，测出705个clean技能含违规指令，智能体34.7%命令后果脱离文档，OATS拦截了全部违规动作。
作者指出了非动作型危害盲区、单命令语法规避与依赖自审计等局限，实验也主要集中于单模型单日及单一注册表快照。
论文论证了发布时恶意扫描无法替代运行时动作许可控制，提出了轻量确定性控制门OATS，展示了双层防御组合的必要性。
研究智能体跨轮遗忘约束的 GHOST，GPT-5.5 在 SCARBench 达 11.5% GHOST 率，双层防御降至 0。
研究长程智能体在良性多轮交互中恢复任务时遗忘早期安全约束的 GHOST 失效模式与治理危害。
涵盖长上下文指令保持、智能体安全基准与防御、无限时界安全分析及通用记忆与自我修正基线。
基于条件风险理论证明，提出耦合在线语义约束恢复与执行前确定性审计修复的双层防御框架。
在 7 个模型上评测 SCARBench，GPT-5.5 的 GHOST 率达 11.5%，STAR-Guard 消除违规。
作者指出防御保证依赖前端正确性、干预影响完成度等局限，并指明机理与规则表达等后续方向。
揭示 GHOST 跨轮约束遗忘风险，构建 SCARBench 基准并通过 STAR-Guard 双层防御消除违规。
COBRA 通过事前分支能力约束与代理拦截，在 STEER-Bench 上将攻击成功率降至 0% 并保留 97% 良性效用。
动态网页促使计划产生分支，导致攻击者可通过操控数据诱导智能体执行危险分支（分支转向攻击）。
梳理了 CUA 概率性防御、Dual-LLM 等系统级架构、MCP 安全及现有评测基准，指出 DFI 防御的缺失。
提出 COBRA 架构，结合离线计划能力约束、运行时分支解析中枢及确定性 HTTP/MCP 代理拦截。
在 STEER-Bench 及 4 个外部基准中将 ASR 降至 0%，在 OSWorld-MCP 上保留实用任务完成能力。
作者指出其在未体现在网络请求的视觉数值、自由文本语义、非 HTTP 接口及对站点描述的依赖等局限。
提出分支转向防御架构 COBRA，通过事前能力约束与边界代理消除分支转向攻击并兼顾效用。
作者提出基于冻结内部表征读取的TACIT检测智能体轨迹；在6个基准上Qwen3-4B Multi-layer平均macro-F1达86.2%（Table 1）。
解决开源 Guard 模型在智能体轨迹上难以有效检测不安全工具使用与多步交互风险的问题。
涉及智能体轨迹安全基准、安全 Guard 模型以及基于模型内部表征的安全检测与干预三类研究。
提出 TACIT，从冻结骨干网络的中间层读取表征并通过线性探针、集成或多层聚合输出安全评分。
在 6 个基准上评测了检测性能、留一泛化能力、与 SFT 结合效果及训练与推理效率。
作者指出流式检测需动作级评测与闭环校准，且需构建平衡两类风险的基准；实验覆盖 6 个离线基准与 2 类模型。
提出基于内部表征的智能体轨迹安全检测方法 TACIT，揭示工具风险表征特性并在多项基准上提升检测表现与效率。
在Claude Code上测试表明审批与执行动作存在六类解绑失效，基于HMAC的Approval Token可消除委托与时序洗白但无法防范效果偏离。
研究编程智能体套件中人类审批与底层工具执行动作脱钩的审批洗白问题，分析六类凭证绑定失效模式。
对比智能体授权机制、测量基准与混淆代理研究，指出现有工作均未覆盖全部六类凭证绑定失效。
形式化准入与效果偏离条件，构建六维分类学，提出七字段 HMAC 权能凭证 Approval Token 进行预执行验证。
在 Claude Code 上实测六类场景基线 BGR，并通过 118 次离线重放和实时烟雾测试验证防御效果与局限。
指出跨套件泛化、效果偏离拦截、真实感知评测与密钥保管等局限，列明实验覆盖范围。
系统揭示编程智能体审批洗白风险，提出七字段权能防御机制，证实其能消除身份时序偏离但难防副作用偏离。
在分布偏移下，事后最佳单模型基线产生 0.045 至 0.113 的选择代价，诚实评分下安全路由在多数池单元退化为固定模型选择。
测试集后验基准在分布偏移下夸大固定模型表现，使安全路由评估产生虚假下限。
现有研究揭示了路由同样本评估偏倚与退化现象，本文系统量化安全分布偏移下的代价与防御脆弱性。
建立诚实留出评估协议，推导超额危害分解恒等式，并评估门槛表面与动作防御。
分布偏移下后验基准产生大额偏差，诚实评估下路由收益微弱且识别信号易被操纵。
作者指出了语料范围、评测器偏差与离线假设等局限，实际实验覆盖至 7 个公开语料。
论文揭示安全路由评估在分布偏移下的虚假下限，指出防御重心应转向外部动作级强制。
针对自适应提示注入，论文提出基于同策略蒸馏的防御微调方法 SecOPD，在 Qwen3.6-27B 上将 PISmith ASR 降至 9.0%（Table 1）。
论文针对现有序列级防御难以抵御自适应提示注入的问题，提出通过 token 级同策略蒸馏实现精细信用分配的 SecOPD 防御。
论文梳理了系统级防御、模型级序列反馈防御、自适应攻击及同策略蒸馏研究，将 OPD 机制引入提示注入安全防御领域。
SecOPD 利用良性输入下的基座模型作为安全教师，通过跨上下文 token 打分计算优势值，对受攻击输出实现细粒度监督更新。
实验覆盖 SEP 与 AgentDojo 两大安全基准及六项实用性测试，展示 SecOPD 在抵御自适应攻击的同时较好保全了模型原有能力。
作者指出了仅适用间接注入、依赖可信边界输入及推理链缺乏注入感知等局限，并指明了后续研究方向。
SecOPD 通过纯净上下文 token 级同策略蒸馏，在 Qwen3.6-27B 上将自适应攻击 ASR 降至 9.0% 并保持了模型通用能力。
作者提出DART，通过去噪表征转移检测多轮攻击，在MT-AgentRisk上将6个模型平均ASR从84%降至25%。
多轮智能体攻击可将合规步骤组合为有害行为，现有单步防御难以识别且表征累加易受良性漂移干扰。
现有研究涵盖单步动作护栏、多轮推测或知识防御以及内部表征监控，DART定位为轻量复用自身隐藏状态的轨迹级防御。
DART在固定层提取表征转移并投影到去噪安全方向，通过累加位移检测攻击、按最大增量归因上下文并注入针对性提醒。
论文在6个模型和多个多轮及注入基准上评测了检测率、ASR、良性效用与计算开销，验证了去噪机制与提示词干预的效果。
作者指出当前防御面临干预失效、细粒度信息保留缺失以及多轮分解难以剔除等局限，未来需探索更强缓解手段与级联架构。
DART利用去噪表征转移监测多轮攻击并注入提醒，在保持良性效用同时降低攻击成功率，每步仅增加零点几秒开销。
作者针对智能体隐私泄漏提出FLOWSEAL防御，在SPR基准上将CWL攻击的条目泄漏率从52.2%降至0.5%。
解决现有提示词防御在对手控制的上下文中做隐私判定导致机制与攻击面重合的问题。
梳理智能体隐私基准、基于模型的隐私防御及信息流控制，指出本文将强制执行移至上下文外。
FLOWSEAL在工具边界设立代码拦截器，结合数据溯源、三级格策略与独立内容检查实现信息流控制。
在三项基准、多种模型与真实MCP测试中，FLOWSEAL将新型攻击泄漏率压至2.3%以下并保持72.4%实用率。
作者指出检查器存在改写漏检与误拒局限，未登记数据存在盲区，未来可探索系统层多层防御。
作者分析大模型智能体隐私检查与攻击面重合问题，提出外部拦截防御FLOWSEAL并验证有效性。
CoER通过双边对抗共进化与精炼防御自适应IPI，在七领域将Qwen3.5-9B自适应ASR降至0.22%。
论文试图解决工具调用智能体在多轮任务中抵御能够依据执行反馈持续调整策略的自适应间接提示注入问题。
论文梳理了IPI评测与防御、自适应攻击发现与精炼、攻防共进化三类研究，并强调自身在任务执行内闭环博弈的定位。
CoER将攻防建模为一般和马尔可夫博弈，通过SFT冷启动攻击者、双边历史对抗RL共同进化，再由保留攻击者引导教师数据精炼。
CoER在七领域将自适应ASR降至0.22%、Safe-U升至76.24%，并在外部基准与累积攻击下保持高防守。
作者指出方法依赖强教师与顺序流程且超参数敏感，评测范围未覆盖多模态、其他智能体框架及更大模型骨干。
CoER针对自适应IPI结合双边对抗共进化与强教师精炼，在七领域将Qwen3.5-9B的自适应ASR降至0.22%。
针对智能体浏览器中的提示注入与确认伪造，论文提出可验证操作卡VAC，在5个开源模型评测中将攻击成功率从78%降至0%（Table 10）。
论文解决智能体浏览器中因页面内容篡改确认界面导致的人在回路防御失效问题，提出基于真实操作重构的可验证操作卡。
相关工作涉及网页智能体、间接注入攻击、推理层架构防御及同意完整性，论文通过构建浏览器端真实操作描述符弥补确认信道缺陷。
VAC 架构通过意图来源隔离、DOM 真实操作描述符、浏览器外置卡片、风险门控与分发时执行绑定，确保批准与执行完全一致。
在 5 个开源模型及 GPT-4.1 上评测 24 个场景，无门控 ASR 为 68%–100%，VAC 在全部模型上降至 0% 且误报率为 0%。
论文局限包括依赖启发式规则与预言机模拟、无法防护只读误导，未来方向包括真人受试者实验及向计算机使用智能体拓展。
论文针对人在回路弹窗易受骗问题，提出提取 DOM 真实参数的外置验证卡 VAC，在跨模型评测中将攻击成功率完全归零。
研究者在固定字节下评测对话模板注入，发现去除保留词元使Llama-3.1等模型ASR降低39-66个百分点，权威性源于单个向量。
研究探究对话模板提示注入的威力来源，聚焦保留控制词元的学得向量表示与模板文本语法的作用差异，并界定分词防御范畴。
梳理了间接提示注入评测、对话模板伪造攻击、分词对抗扰动以及指令数据分离防御四类相关研究，指明本文固定字节解耦视角。
通过固定字节下的保留与子词切分对比，引入词元数补偿对照定义标识差距，结合向量替换因果干预与来源感知分词器验证防御。
在两项基准上验证了保留词元向量的主导作用，揭示了思考推理的补偿效应、工具协议词元防御缺口及自适应嵌入搜索威胁。
作者指出了开源自托管范围、工具调用解析判定标准与输入层干预三项局限，其实验覆盖了六个开源模型与两大评估基准。
对话模板注入的权威性主要来自保留词元的学得向量而非文本语法，推理具有补偿作用，现有分词防御遗留工具协议漏洞。
